Kerberos realm to host mapping policy string-length limitations

Uvod

Pravilnik host-to-realm u kerberosu koristi se za mapiranje glavnog računala (kao što je klijentsko računalo ili poslužitelj) u određeno kerberos kraljevstvo. Dodatne informacije potražite u članku CSP pravila – ADMX_Kerberos.

U ovom se članku opisuju ograničenja duljine niza u pravilniku host-to-realm za Kerberos, scenarije u kojima se ograničenja primjenjuju i smjernice za prevladavanje ograničenja.

Koja su ograničenja duljine niza?

• Ograničenje znakova korisničkog sučelja (UI- ja) za nazive glavnih računala: Kontrola pravilnik grupe Editor koja se koristi za unos podataka ne učitava više od 1024 znaka u unos popisa datoteka glavnog računala. No možete upisati do 32 767 znakova i uspješno ih napisati u registry.pol.

• Ograničenje znakova za nazive glavnih računala: Klijent Kerberos koji čita tu postavku na uređaju na koji se pravilnik primjenjuje ima ograničenje od 2048 znakova za popis naziva glavnog računala.

U kojem se scenariju primjenjuju ograničenja?

Ograničenja duljine niza primjenjuju se u sljedećim scenarijima:

• Imate domenu servisa Active Directory i druge domene, kao što su FreeBSD ili Linux s MIT trustom.

• Podržavate više SPN nastavaka ili popis glavnih računala mapiranih ručno u kraljevstvo koje smatra adšumom pouzdanom.

Prilikom postavljanja pravilnika mapiranja glavnog računala u području u odjeljku Domena pravilnik grupe se definiraju sljedeća polja:

• Naziv pravilnika: Definirajte mapiranja domene naziva glavnog računala za Kerberos,

• Potključ registra: domain_realm.

Dohvaćanje ulaznice za jedno od tih glavnih računala možda nije uspjelo jer izvan određene duljine nizova glavnog računala pravilnik grupe Editor ne prikazuje popis glavnih računala. Umjesto toga, polja "naziv vrijednosti" i "vrijednost" su prazna.

Smjernice za zaobilaženje ograničenja duljine niza

• Ograničenje korisničkog sučelja: Da biste izbjegli problem prilikom unosa dugačkih nizova u ADMX pravilnik grupe Editor, možete stvoriti zasebnu tekstnu datoteku koja sadrži popis naziva glavnog računala. Prilikom ažuriranja popisa glavnih računala morat ćete sukladno tome izmijeniti ovu tekstnu datoteku. Nakon toga možete otvoriti pravilnik i zalijepiti ažurirani niz u kontrolu za uređivanje za relevantno mapiranje prostora.
  
  Možete koristiti i cmdlet Set-GPRegistryValue PowerShell iz datoteke skripte. Omogućuje i dodavanje dugačkog niza kao parametra u pravilnik grupe.

• Ograničenje duljine naziva glavnog računala za unos registra: Od veljače 2025. ograničenje znakova od 2048 znakova za nazive glavnog računala ne može se izbjeći kada koristite postavku ADMX pravilnik grupe ili InTune CSP.

  Postoji zaobilazno rješenje koje ne zahtijeva pravilnik grupe. Možete koristiti naredbu ksetup /addhosttorealmmap , kao što je dokumentirano u vodiču za dodavanje hosttorealmmap. Taj je pristup ograničen samo općom veličinom košnice registra za ograničenja sistemske košnice i hrpe.

  Mapiranja glavnog računala možete distribuirati i pomoću preferenci registra pravilnik grupe pomoću podataka koje je pohranila naredba ksetup /addhosttorealmmap u sljedećem potključu registra:

  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\Kerberos\HostToRealm

  Da biste stvorili tu postavku u pravilnik grupe preference, koristite cmdlet PowerShell Set-GPPrefRegistryValue.

Reference

​​​​​​​​​​​​​​Izjava o odricanju od odgovornosti za informacije trećih strana

Proizvode treće stane koji se spominju u ovom članku proizvode tvrtke neovisne o tvrtki Microsoft. Ne dajemo jamstva, ni izričita ni drugačija, glede performansi i pouzdanosti tih proizvoda.

Microsoft nudi podatke za kontakt trećih strana da biste lakše pronašli tehničku podršku. Ti se podaci za kontakt mogu promijeniti bez najave. Microsoft ne jamči točnost tih podataka za kontakt trećih strana.